Bezpieczeństwo falowników przestało być tematem czysto technicznym i stało się elementem oceny ryzyka dostawcy. W maju 2025 roku agencja Reuters opisała nieudokumentowane moduły komunikacyjne, w tym radia komórkowe, znalezione w falownikach i magazynach energii produkcji chińskiej. W styczniu 2026 roku Departament Energii Stanów Zjednoczonych przekazał partnerom z sektora własną analizę: po zbadaniu około 30 urządzeń przez laboratoria narodowe stwierdzono dwie rozbieżności wobec dokumentacji, a obie uznano za niezłośliwe i niezamierzone. Jednoznacznych dowodów na celowo ukryte funkcje bezprzewodowe nie znaleziono.
Dla organizacji eksploatującej instalacje fotowoltaiczne albo magazyny energii praktyczny wniosek jest węższy od pierwotnego przekazu medialnego, ale nie mniej istotny. Ryzyko wynika z konstrukcji produktu. Producent zachowuje zdalny dostęp do urządzenia sterującego pracą instalacji, a odbiorca zwykle nie ma nad tym kontroli umownej ani technicznej. To sytuacja mieszcząca się w zarządzaniu ryzykiem strony trzeciej, a nie w reagowaniu na potwierdzony incydent.
Jak duża jest zależność Europy od jednego kierunku dostaw?
Skala koncentracji jest udokumentowana i mierzalna. Według komentarza Międzynarodowej Agencji Energetycznej z lipca 2026 roku Chiny odpowiadały w 2025 roku za około osiemdziesiąt procent światowych zdolności produkcyjnych falowników wykorzystywanych w instalacjach fotowoltaicznych i bateryjnych. Europa jest drugim producentem z udziałem około ośmiu procent, co odpowiada zdolnościom rzędu 95 GW rocznie przy popycie bliskim 90 GW. Falowniki pozostają jedynym ogniwem europejskiego łańcucha dostaw fotowoltaiki, w którym moce wytwórcze przewyższają krajowy popyt.
Bez falowników nie działa żadna z blisko 3 TW mocy fotowoltaicznej zainstalowanej na świecie, dostarczającej blisko dziewięć procent światowej energii elektrycznej. European Solar Manufacturing Council, powołując się na dane firmy DNV, szacował w kwietniu 2025 roku, że ponad 200 GW europejskiej mocy fotowoltaicznej pracuje z falownikami produkcji chińskiej, a dwaj najwięksi dostawcy zachowują zdalny dostęp do 168 GW tej mocy. Raport DNV, przygotowany na zlecenie SolarPower Europe, wskazywał na realne ryzyko kaskadowych zaników zasilania w przypadku skoordynowanej manipulacji falownikami.
Międzynarodowa Agencja Energetyczna policzyła też koszt zmiany dostawcy. Premia cenowa za falownik producenta spoza krajów uznanych za kraje wysokiego ryzyka przekłada się na wzrost kosztu projektu wielkoskalowego o poniżej dwóch procent, a w instalacjach mieszkaniowych na wzrost od trzech do czterech procent dla falowników łańcuchowych oraz około dwudziestu procent dla falowników hybrydowych i mikrofalowników.
Jak zmieniły się przepisy w Unii Europejskiej i w Polsce w 2026 roku?
Regulator przeszedł od ostrzeżeń do instrumentów finansowych i administracyjnych. Komisja Europejska przyjęła w 2026 roku wytyczne ograniczające finansowanie ze środków unijnych, w tym z Europejskiego Banku Inwestycyjnego i Europejskiego Funduszu Inwestycyjnego, dla projektów fotowoltaicznych, wiatrowych i magazynowych wykorzystujących falowniki od dostawców z państw uznanych za wysokiego ryzyka. Katalog obejmuje Chiny, Rosję, Iran i Koreę Północną. Instytucje finansujące miały zgłosić projekty w toku do 1 maja 2026 roku. Wyłączenie obejmuje projekty zdolne do zatwierdzenia do 1 listopada 2026 roku. Dla przedsięwzięć poza Unią, niepołączonych z siecią europejską, termin wycofania wskazano na 15 kwietnia 2027 roku. Ograniczenie dotyczy finansowania, a nie dopuszczenia urządzeń do obrotu.
Trwalszy instrument jest w przygotowaniu. Zaproponowana 20 stycznia 2026 roku rewizja aktu o cyberbezpieczeństwie przewiduje stałe ramy wskazywania dostawców wysokiego ryzyka wraz z możliwością wykluczenia ich produktów z rynku unijnego. Równolegle działają już dyrektywa NIS2, akt o cyberodporności oraz kodeks sieci w zakresie cyberbezpieczeństwa. Na poziomie krajowym Litwa od maja 2025 roku ogranicza zdalne sterowanie falownikami, a od maja 2026 roku wymóg objął instalacje istniejące, z obowiązkiem modernizacji części z nich.
W Polsce mechanizm istnieje od nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku. Art. 67b tej ustawy pozwala ministrowi właściwemu do spraw informatyzacji uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka w drodze postępowania administracyjnego, po uzyskaniu opinii Kolegium do Spraw Cyberbezpieczeństwa. Skutkiem decyzji jest zakaz wprowadzania wskazanych produktów do użytkowania oraz obowiązek wycofania tych już nabytych w terminie siedmiu lat od ogłoszenia decyzji w Monitorze Polskim. Dla produktów, usług i procesów ICT wykorzystywanych do wykonywania funkcji krytycznych dla bezpieczeństwa sieci i usług, określonych w załączniku nr 3 do ustawy, termin ten wynosi cztery lata.
Ministerstwo Cyfryzacji przypomniało 6 sierpnia 2026 roku stan faktyczny: nie wszczęto dotąd żadnego postępowania i nie wydano żadnej decyzji, więc lista dostawców wysokiego ryzyka w Polsce nie istnieje. W tym samym komunikacie resort wskazał, że brak listy nie wpływa na obowiązek oceny ryzyka przy nabywaniu produktów, usług i procesów ICT. Odrębną podstawą działania jest art. 226 ust. 1 pkt 17 ustawy Prawo zamówień publicznych, nakazujący zamawiającemu odrzucenie oferty obejmującej produkty objęte rekomendacjami Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa. Nowelizacja dodała do tego przepisu punkt 19, obejmujący oferty z produktami wskazanymi w decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka. Obie podstawy obowiązują od 3 kwietnia 2026 roku.
Dlaczego zdalne wyłączenie urządzenia to ryzyko dostawcy, a nie wyłącznie ryzyko cyber?
Najlepiej udokumentowany przypadek utraty dostępności falowników nie miał podłoża państwowego. 15 listopada 2024 roku producent Deye zablokował funkcje falowników sprzedawanych poza autoryzowanym kanałem dystrybucji w Stanach Zjednoczonych, Wielkiej Brytanii i Pakistanie. Urządzenia wyświetliły komunikat o braku dopuszczenia do użytku w danym kraju, a instalacje przestały pracować. Firma oświadczyła, że nie sterowała urządzeniami zdalnie i że nie ma dowodów na złośliwe przejęcie kontroli przez jej usługi chmurowe. Późniejsze ustalenia opisywane przez Defense News wskazywały na spór dystrybucyjny jako źródło zdarzenia.
Mechanizm jest dla zarządzania ryzykiem ważniejszy od motywu. Skutek dla użytkownika był identyczny niezależnie od tego, czy przyczyną był konflikt handlowy, błąd konfiguracyjny czy działanie celowe. Utrata dostępności nastąpiła po stronie dostawcy, poza kontrolą właściciela instalacji i bez ostrzeżenia. Ten sam wzorzec występuje w każdej technologii z wbudowaną możliwością zdalnego ograniczenia funkcjonalności, od maszyn przemysłowych po flotę pojazdów.
Analiza Departamentu Energii Stanów Zjednoczonych porządkuje wagę scenariuszy. Pojedynczy falownik z nieudokumentowaną łącznością prawdopodobnie nie wywoła skutków systemowych. Skoordynowana manipulacja wieloma lokalizacjami dałaby efekt znacznie większy, choć jest trudniejsza do przeprowadzenia. Departament zwrócił też uwagę na kwestię praktyczną: dokumentacja powykonawcza opisuje zwykle wyłącznie funkcje aktywowane, więc właściciel instalacji powinien samodzielnie zweryfikować dostępne protokoły komunikacyjne i wyłączyć te, których nie używa. Producent może zachowywać dostęp do celów gwarancyjnych lub bezpieczeństwa, a warunki takiego dostępu wynikają z umowy.
Z perspektywy zarządzania ryzykiem stron trzecich falownik jest dostawcą usługi sterowania, a nie komponentem elektrycznym. Wymaga zatem rejestracji w ewidencji dostawców ICT, oceny wpływu na procesy krytyczne oraz zapisów umownych opisujących zakres zdalnego dostępu, tryb jego zawieszenia i skutki wycofania wsparcia.
Jak ocenić ryzyko falowników w praktyce?
Ocena mieści się w istniejących procesach zarządzania ryzykiem dostawcy i nie wymaga odrębnej metodyki. Kolejność działań porządkuje pracę zespołów zakupowych, utrzymania ruchu i bezpieczeństwa.
- Zinwentaryzuj falowniki i systemy przekształtnikowe w rejestrze dostawców ICT, wraz z producentem, modelem, wersją oprogramowania układowego i kanałami komunikacji.
- Ustal, które instalacje wspierają procesy o określonym RTO, korzystając z wyników analizy wpływu na działalność.
- Zweryfikuj faktycznie aktywne protokoły komunikacyjne w urządzeniu i porównaj je z dokumentacją powykonawczą oraz z wykazem komponentów oprogramowania.
- Wyłącz protokoły nieużywane i odseparuj falowniki od sieci ogólnej, kierując ruch przez punkt kontroli z inspekcją protokołów przemysłowych.
- Uzupełnij umowy o zakres zdalnego dostępu producenta, obowiązek powiadomienia o aktualizacjach oraz warunki utrzymania pracy urządzenia w trybie lokalnym.
- Opisz scenariusz utraty dostępności falowników w planie ciągłości działania i przetestuj go wraz z operatorem instalacji.
- Sprawdź, czy planowane zakupy podlegają wytycznym unijnym dotyczącym finansowania oraz obowiązkowi odrzucenia oferty na gruncie Prawa zamówień publicznych.
Punkty od trzeciego do piątego są zwykle najsłabiej obsadzone, ponieważ leżą na styku kompetencji technicznych i zakupowych. Podmioty kluczowe i ważne wpisywane do Wykazu KSC do 3 października 2026 roku powinny wykazać się udokumentowaną oceną, niezależnie od tego, że lista dostawców wysokiego ryzyka nie została utworzona. Zakres obowiązków wynikających z ustawy o KSC porządkujemy w ramach wdrożenia NIS2 w organizacji.
Zdalny dostęp producenta jako zależność do oceny
Ukryte moduły komunikacyjne okazały się hipotezą, której amerykański regulator dotąd nie potwierdził. Zdalny dostęp producenta do urządzenia sterującego instalacją energetyczną pozostaje faktem konstrukcyjnym i podlega ocenie jak każda inna zależność od strony trzeciej. Organizacja, która ma falowniki w rejestrze dostawców ICT, zna aktywne kanały komunikacji i opisała scenariusz ich utraty w planie ciągłości działania, odpowiada na pytanie audytora niezależnie od tego, jak rozwinie się unijna i krajowa polityka wobec dostawców wysokiego ryzyka.
Najczęściej zadawane pytania
Czy w Polsce obowiązuje lista dostawców wysokiego ryzyka? Nie. Ministerstwo Cyfryzacji potwierdziło 6 sierpnia 2026 roku, że nie wszczęto żadnego postępowania i nie wydano żadnej decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka. Procedura z ustawy o KSC istnieje i może zostać uruchomiona, natomiast obowiązek oceny ryzyka przy zakupie produktów ICT obowiązuje niezależnie od istnienia listy.
Czy unijne ograniczenia zakazują stosowania chińskich falowników? Wytyczne Komisji Europejskiej ograniczają finansowanie ze środków unijnych dla projektów wykorzystujących falowniki od dostawców z państw uznanych za państwa wysokiego ryzyka. Projekty finansowane prywatnie pozostają poza ich zakresem. Zmianę tego stanu przewiduje dopiero zaproponowana w styczniu 2026 roku rewizja aktu o cyberbezpieczeństwie.
Od czego zacząć ocenę, jeśli organizacja eksploatuje instalacje różnych producentów? Od inwentaryzacji urządzeń i przypisania ich do procesów o określonym czasie odtworzenia. Dopiero mając tę mapę, można sensownie ustalić dla których instalacji weryfikacja protokołów komunikacyjnych i renegocjacja zapisów umownych ma pierwszeństwo.
Źródła
- Reuters, „Ghost in the machine? Rogue communication devices found in Chinese inverters”, maj 2025
- pv magazine, „U.S. authorities find no definitive evidence of hidden devices in Chinese solar inverters”, styczeń 2026
- Międzynarodowa Agencja Energetyczna, „Inverter supply chains and cybersecurity”, lipiec 2026
- European Solar Manufacturing Council, „Restrict Remote Access of PV Inverters from High‐Risk Vendors”, kwiecień 2025
- pv magazine, „EU moves to restrict funding for projects using inverters from high‐risk suppliers”, kwiecień 2026
- ESS News, „EU funding ban on high‐risk inverters, including Chinese suppliers, extends to BESS PCS”, maj 2026
- heise online, „Photovoltaics: Deactivated Deye and Sol‐Ark inverters in the USA”, listopad 2024
- Defense News, „Chinese hold on solar‐power tech raises fresh sabotage fears in Europe”, maj 2025
- Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) — procedura dot. listy dostawców wysokiego ryzyka”, sierpień 2026
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2026 r. poz. 20 i 252)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
- Ustawa z dnia 11 września 2019 r. — Prawo zamówień publicznych
- Urząd Zamówień Publicznych, „Zmiany w Pzp w związku z ogłoszeniem Ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa”, marzec 2026
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2)
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. (akt o cyberodporności)
Prowadzimy oceny ryzyka dostawców ICT dla podmiotów kluczowych i ważnych, obejmujące inwentaryzację zależności, weryfikację zapisów umownych o zdalnym dostępie oraz powiązanie wyników z planami ciągłości działania. Szczegóły zakresu prac opisaliśmy na stronie usługi zarządzania ryzykiem stron trzecich (TPRM).
